Von Pointern und ge'point'ert werden

Tobi482 · Beiträge: 135

Hi Leute,

ich möchte auf den Speicherbereich eines Prozesses zugreifen. Durch externen Zugriff mit der Debug-API (WriteProcessMemory, ReadProcessMemory) ist dies nicht möglich, da sofortige Beschädigungen des Codes der Fall ist (schwer zu beschreiben, es geht einfach nicht). Von innerher sollte dies jedoch möglich sein.

Das Ziel:
Ich muss einen Speicherbereich auslesen an der eine gesuchte Informations steht

Die Idee:
Ich nehmen einen Pointe, der auf ein 1 MB großes Byte Array typisierten ist und schiebe diesen durch den Prozessspeicher. Ich stelle mir einen klassifizierten Pointer immer als Maske vor, die auf den RAM gelegt wird und frei verschoben werden kann. Ich möchte diese Maske also vom ersten Byte bis zum letzten (-maskenlänge) des Prozessspeichers schieben und den Inhalt kontroliieren (Achtung Übergangstellen).

Damit diese Idee verfolgt werden kann, müssen einige Annahmen gemacht werden.

1. Prozesse liegen im RAM in fragmentieren Zustand vor
2. Prozesse sehen sich intern als zusammenhängendes Stück Speicher (ohne Fragmentation)

Meines Wissen stimme die beiden Annahmen.

WENN NICHT BITTE SOFORT EINSCHREITEN DANN GEHT DIE IDEE NICHT !!! WICHTIG !!!

markieren

Delphi-Quelltext

1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:

type
  region = packed array[0..10000000] of byte;
  pregion = ^region;

procedure TForm1.FormCreate(Sender: TObject);
var
     data      : string;
     p         : pregion;
     i,j       : integer;
begin
      data := 'test_information_inforamtion_inforamtion';

      memo1.Clear;

      for i := 0 to prozessleange do
      begin
          p := Pointer(i);
          if   (p^[0] = ord('t')) and
               (p^[1] = ord('e')) and
               (p^[2] = ord('s')) and
               (p^[3] = ord('t')) then
          begin
               for j := 0 to 20 do
               begin
                    memo1.Lines.Text := memo1.Lines.Text + chr(p^[j]);
               end;
          end;
      end;
end;

Der obrige Code sollte dies übernehmen. Nun zu meiner Frage.

Fragen:

1. Warum funktioniert der Code nicht? Exception: AccessViolation
2. "p := Pointer(i);" erwartet eine interne Speicheradresse oder eine globale?

PS: VirtualQueryEx (API zum suchen den nächsten Prozessfragmentes darf nicht benutzt werden)

Mit freundlichen Grüßen
Tobi

uall@ogc · Verfasst: Mo 15.05.06 18:13

mit IsBadReadPtr kannst du prüfen ob du auf den Speicher zugreifen kannst, mit VirtulProtect kannst du halt auch schaun ob der Speicher existiert (wenn du VirtualQuery nicht benutzen willst)

Willst duweder IsBadReadPtr noch VirtualQuery noch VirtualProtect benutzen, mach ein TryExcept um das auslesen drum.

Und um dich wohl ganz zu demotivieren: so kannst du nur Speicher deines EIGENEN Programms auslesen. Mit anderen Programmem geht es nicht.

_________________
wer andern eine grube gräbt hat ein grubengrabgerät
- oder einfach zu viel zeit

Tobi482 · Beiträge: 135

jaja ich will ja auch nur mein eigenes Programm kontrollieren.

Wird denn nun ein Pointer global oder lokal referenziert?

Was ist mit der Speicheradresse an denen isBadPtr auf treu steht?
Das darf ja bei einer lokalren Adressierung nicht auftrerten.

Gruß Tobi

uall@ogc · Verfasst: Mo 15.05.06 18:47

markieren

Delphi-Quelltext

1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:
32:
33:
34:
35:
36:
37:
38:
39:
40:
41:
42:
43:
44:

program search;

uses
  windows,
  SysUtils;

{$APPTYPE CONSOLE}

procedure SearchX(const s: String);
var
  i: DWord;
  j: DWord;
  xLen: Integer;
  k: Integer;
begin
  i := 0;
  xLen := Length(s);
  while i < $7FF00000 do
  begin
    try
    //if (not isBadReadPtr(Pointer(i),xLen)) then
    //begin
      k := 0;
      for j := 1 to xLen do
        if Byte(s[j]) = PByte(i+j-1)^ then
          Inc(k);
      if (k = xLen) then
      begin
        Writeln(IntToHex(i,8),': ',PChar(i));
        Inc(i,xLen);
      end else
        Inc(i,1);
    //end else
    except
      i := (i and $FFFFF000)+ $1000;
    end;
  end;
end;

begin
  SearchX('ntdll');
  Writeln('finished');
  ReadLn;
end.

_________________
wer andern eine grube gräbt hat ein grubengrabgerät
- oder einfach zu viel zeit

Tobi482 · Beiträge: 135

Hi,

erstmal Danke für deine Antwort und den Beispiel Code.

Aber meine Fragen sind jetzt nur noch vertieft wurden.

FRAGEN:

1. Warum kann man an der internen Speicheradresse 0 nicht lesen?
Falls es irgendwas mit der kritischen Grenze 0 zu 1 zu tun hat, geht auch
bei 1 kein Lesevorgang.

Das würde bedeuten, dass Prozesse sich selbst nicht als ganzes Stück sehen!

2. Wie ist denn der Aufbau eines PRozesses im RAM?

3. Ist damit der ungültige Pointer auf 0 zu erklären?

4. Was ist das für eine Zahl 7FF00000 = 2147483648 = 2^31 und warum
ist sie eine Grenze?

5. i := (i and $FFFFF000)+ $1000; das gleich hier?
Kannst du mir diese Zeile erklären?

6. Warum eine Erhöhung von $1000 = 4096?

7. Wie kommt man auf die Zahlen aus 4. und 5. Zahlen?

Mit freundlichen Grüßen
Tobi

BenBE · Verfasst: Di 16.05.06 10:59